Konfigurera Microsoft Defender för Endpoint på iOS med mobilapplikationshantering

Microsoft Defender för Endpoint på iOS stöder Microsoft Intune Mobile Application Management (MAM) på enheter som är registrerade eller inte är registrerade i Intune Mobile Device Management (MDM). Organisationer som använder en annan företagsmobilitetshanteringslösning kan också använda Intune MAM för att skydda organisationsdata i hanterade appar.

Intunes appskyddspolicyer använder Defender for Endpoint-enhetsrisksignaler för att tillämpa villkorliga startåtgärder på hanterade appar. Den här artikeln förklarar hur man kopplar Defender for Endpoint till Intune, konfigurerar en iOS-appskyddspolicy och förbereder användare för att onboarda Defender for Endpoint.

Microsoft Intune krävs för procedurerna i denna artikel. Intune är en separat produkt som inte ingår i Defender for Endpoint, och den ingår inte i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Mer information finns i Microsoft Intune licensiering.

Defender for Endpoint på iOS stöder följande MAM-konfigurationer:

• Intune MDM med MAM: Intune hanterar enheten och tillämpar appskyddspolicys på hanterade appar.
• MAM utan enhetsregistrering: Intune tillämpar appskyddspolicyer på hanterade appar på enheter som inte är registrerade i Intune. Denna konfiguration, även känd som MAM-WE, kan skydda appar på enheter som är registrerade hos en tredjepartsleverantör av företagsmobilitetshantering.

Använd Microsoft Intune admincenter för att hantera appar i båda konfigurationerna.

Förhandskrav

Innan användare kan onboarda Defender for Endpoint i MAM-läge, koppla Defender for Endpoint till Intune, aktivera connectorn för iOS-appskyddspolicyer och skapa en appskyddspolicy.

För att konfigurera integrationen och policyn behöver du följande behörigheter:

• I Intune gäller rollen Endpoint Security Manager eller motsvarande anpassade rollrättigheter:
  • För att konfigurera utvärderingen av tjänsteanslutning och appskyddspolicy, läs och ändra behörigheter för Mobile Threat Defense.
  • För att skapa och tilldela appskyddspolicyer, tilldela, skapa, radera, läsa, uppdatera och radera behörigheter för hanterade appar.
• I Microsoft Entra ID, säkerhetsadministratörsrollen eller behörigheten Hantera säkerhetsinställningar i Windows Zabezpečenie Center i Defender for Endpoint.

Ansluta Defender för Endpoint till Intune

För hela anslutningsproceduren, se Konfigurera Microsoft Defender för Endpoint med Intune och inbyggda enheter.

Kontrollera följande inställningar:

• På sidan Andra alternativ i Microsoft Defender-portalen på https://security.microsoft.com/securitysettings/endpoints/integration, är Microsoft Intune Connectionpå.
• På Endpoint Security | Microsoft Defender för Endpoint-sidan i Microsoft Intune admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp, verifiera följande inställningar:
  • Högst upp på sidan är anslutningsstatusaktiverad.
  • I avsnittet Utvärdering av appskyddsprincip är Anslut iOS-/iPadOS-enheter till Defender för Endpointaktiverat.

Konfigurera Defender-risksignaler i en appskyddspolicy

Ochrana aplikácií-policys skyddar organisationsdata i hanterade appar. En app integrerad med Intune App SDK eller wrappad av Intune App Wrapping Tool kan hanteras av Intune. För stödda publika appar, se Microsoft Intune skyddade appar.

För hela proceduren för att skapa och tilldela en iOS/iPadOS-appskyddspolicy, se Skapa och tilldela appskyddspolicyer.

När du skapar policyn på Apps | Skyddssidan i Microsoft Intune admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/protection, konfigurera dessa Defender-specifika inställningar:

• Policytyp: Välj Skapa>iOS/iPadOS.
• Appflik : Lägg till minst en hanterad app. Rikta policyn mot appar på hanterade enheter, ohanterade enheter eller enheter i vilket hanteringstillstånd som helst, enligt din organisations krav.
• Flik för villkorad start : I avsnittet Enhetsvillkor , välj Maximal tillåten enhetshotnivå och konfigurera sedan följande inställningar:
  • Värde: Välj den maximala hotnivå som din organisation tillåter: Säker,Låg, Medel eller Hög. Säkerställd är det mest restriktiva värdet. High tillåter alla hotnivåer och kräver en aktiv anslutning till Mobile Threat Defense-tjänsten.
  • Åtgärd: Välj Blockera åtkomst eller Radera data.
• Primär MTD-tjänst: Om din organisation konfigurerade flera Mobile Threat Defense-anslutningar, välj Microsoft Defender för Endpoint. Denna inställning kräver maximal tillåten enhetshotnivå.
• Fliken Tilldelningar : Tilldela policyn till de relevanta användargrupperna.

Defender for Endpoint delar hotnivån på enheten med Intune. När användare loggar in på en riktad hanterad app utvärderar Intune Defender-enhetsrisksignalen. Om risken överstiger den tillåtna hotnivån blockerar Intune åtkomst eller raderar organisationsdata från appen, beroende på vilken åtgärd du valt.

Introducera användare

För iOS-enheter registrerar Microsoft Authenticator enheten och verifierar användarens identitet med Microsoft Entra ID. Användaren måste registrera enheten i Authenticator med samma arbets- eller skolkonto som användes för att aktivera Defender for Endpoint.

När en riktad hanterad app upptäcker att Defender for Endpoint inte är aktiverad, vägleder Intune användaren att installera och logga in på Microsoft Authenticator och Defender for Endpoint. Användare kan också installera den senaste versionen av Microsoft Defender från Apple App Store.

För mer information om hur du förbereder de nödvändiga apparna för oregistrerade enheter, se Lägg till Mobile Threat Defense-appar på oregistrerade enheter.